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© Verfahren zum Potenzieren in Galois-Feldern GF(2") fur Zwecke der Datenverarbeitung. der Datensicherung 
der Datenubertragung usw.. insbesondere fur den Schlusselaustausch fur eine verschlusselte 
Datenubertragung, und Schaltungsanordnung zur Durchfuhrung des Verfahrens 
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Eine Schaltungsanordnung zur Durchfuhrung eines Ver- 
fahrens zum Potenzieren in Galoisfeldern GF(2 n ) fur Zwecke 
der Datenverarbeitung. der Datensicherung, der Datenuber- 
tragung usf., insbesondere fur den Schlusselaustausch fur 
eine verschlusselte Datenubertragung, mit einer Steueriogik 
(C) zum Erzeugen von Ladetaktsignalen oder Steuertaktsi- 
gnalen (T1...T4), an weiche Steuerlogik (C) Speicher (SI. S2. 
S3, S4) unmittelbaroder mitte Ibar mit Signalausgangender- 
art angeschlossen sind. da& die Steuerlogik (C) durch Aus- 
gangssignale der Speicher (S1...S4) in unterschiedlicher, 
vorbestimmter Weise Steuertaktsignale (T1...T4) ausgibt, 
wobei die Steuertaktsignale (T1...T4) in vorbestimmter Wei- 
se an Signaleingange der Speicher (S1...S4) und einer Ver- 
arbeitungseinheit (SM). die zwischen dem dritten Speicher 
(S3) und dem vierten Speicher (S4) angeordnet ist, geliefert 
werden. Die Signalausgange des vierten Speichers (S4) sind 
ausschlieSlich an Signaleingange der Verarbeitungseinheit 
(SM) gefuhrt und die Signalausgange des dritten Speichers 
(S3) sind sowohl an SignaleingSnge der Verarbeitungsein- 
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(^Jl^/Verf ahren zum Potenzieren in Galoisf elder CF(2 n ) fiir 
. Zwecke der Datenverarbeitunq, ,der Datensicherunq, der 
5 Dateniibertragung usf., insbesondere f ur den Schliissel- 
austausch f ur eine verschl iissel te Datenubertraaung , 
dadurch gekennzeichnet , daB 
folgende Schritte vorgesehen sind:. 

10 a) Initialisieren einer .Speicheranordnung mit einer Viel- 
zahl von Speichern (S1 , S2, S3, S4) fiir Elemente a, 
w, h, z in der Aufgabe "w a = z mod h" zu bilden, 
wobei a ein Exponent, w ein Basispolynom,; h ein - 
irreduzibles Polynom und z ein Ergebnis sind und 

15 wobei diese CroBen als (n+1)-Tupel von Komponenten 0 

oder 1 dargestellt sind; 



20 



b), Entscheiden, ob ; a(k), naralich der k-te Koeffizient 
(k = n , ♦ 1., 0) des • Exponenten gleich 1 ist, wenn 
: ja, dann Springen nach Schritt c), wenn nein, dann 
Springen nach Schritt c); 



25 



c) Multiplizieren, z : = z . , w, ■ Uberschreiben nach 
Speicher S3; - ( 

d) Entscheiden, r ob k = 0 ist, wenn ja, dann Wert fiir z 
in -Speicher. S3 abruf en, wenn nein, dann Springen zum 
nachsten Schritt e) ; , 



30 e) Multiplizieren z: = z 



z, Uberschreiben 1 nach 
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ci/e1) Initialisieren der Elemente einer Verarbeitungsein- 
heit (SM) nit den Werten "0" ; 

c2/e2) Entsdheiden; ott Y ( 1 ) / namlich der 1-te Koeffi- 
5 zient (1= n, • . . ' 17 0) des ■ Mul'tip likators gleich 

- 1 ist, wenn ja, dann Springen nach Schritt 
c3/e3), wenn nein, dann Springen nach Schritt 
c4/e4), wobei der Multiplikator im Falle des 
Schritt^s c) gieich^w - * gespeichert in dem 
10 zweiten Speicher (S2) - und im Falle des 

i : Schrittes e : )'*gfeich z - ^gespei chert in dem 

1 dritten Speiche^ "(S3) J - ist ;. 

h c3/e3) Addier^n des Inhaltes des dritten Speichers 

' : : (S3) zii dem tnhart : d^r Verarbeitungseinheit (SM) 
' ! und Uberschreiben fsrij : = £st1 J + £s3j ; 

ck/ek) Entscheiden, ob 1 =0 ist, wenn ja, dann Ergebnis 
: * ■ • - aus -'dfer Verarbeitungseinheit (SM) " abruf en und in 
2*0 : ' den drxtteh ^Speicher . (S3) uberschreiben, wenn 

' nein, darin Springen hach Schritt c5/e5); 

c5/e5) Bearbeiten des Inhaltes " £sM J , wobei die Koeffi- 
1 zienteh dieses Inhaltes' jeweils an die ' Stel le des 
25 nachsthoheren Index geschoben' werden, und wobei 

der Koerri2ierit mit dem hochsten Index zu durch 
^ das; P.olynom- h(x) defiriierten -Kbeff izienten 

^ ruckgef uhrt und mit diesen jeweils verknupft 
wird, Dekrementierfen von 1 um 1 und Springen 
30 nach Schritt c2/e2). ■ 

■ 3. : Verfhhren nach Anspruch" 2, d'a durch ^ \ 

g.e k e n n z e i.. c h n, e t , daB \im. Falle des Unter^f. 
schrittes c5/e5) die Ruckfuhrung des Ko^f izientei^it^?^ : 
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i rr*'«iu/. j I, | (mi l'*> I y iinmr. h (hit, ... , hi , hi)) dure \ujv fii lit* t 
wir<J, daB duu jeweils en tancJene UND-Verkniipf ungser.geb- 
nis mittels einer Exklusiv-ODER-Verkniipf ung mit dem be- 
treffenden in der Stellenfolge vorangehenden Koeffizien- 
5 ten durchgef iihrt wird, daQ iin Falle des Unterschrittes 
c3/e3) jeder Koeffizient des Inhaltes £stlj jeweils mit- 
tels einer weiteren Exklusiv-ODER-Verkniipf ung mit dem 
betreffenden Koef f izienten des Inhaltes r?3j , namlich 
z = (zn," , z1 , z6), verknupft wird, und daB das 

10 eritstandene Exklusiv-ODER-Verkniipf ungsergebnis jeweils 
auf denselben Koef f izienten des Inhaltes £snj rlickge- 
f iihrt wird. 

4. Verfahren zum Austausch eines nur zwei Teilnehmern 
15 bekannten Schlusselparameters zur Dateniibertragung liber 

bffentlich zugangliche Obertragungskanale mittels des 
Verfahrens nach einem der Anspruche 1 .... 3 / d a - 
d u r c h g e k e n n z e i c h n e t , . da6 das er- 
f indungsgemaBe Verfahren auf. das Verfahren nach Diffie, 
20* Hellman, Beirkowiz et al angewendet wird.. 

5. Verfahren zur Verschlusselung von Nachrichten, die 
iiber offentlich zugangliche Ubertragunqskanale ausge- 
tauscht werden, mittels des Verfahrens nach einem der 

25 " Anspruche 1 ... 3 / d a d u r c h . g, e. k e n n - 

z e i c h he t , daB das erf indungsqeraaBe Verfahren in 
einem- sog. sy mraetrischen Verschlusselungssystem benutzt 
wird, beispielsweise in dem an sich . bekannten DES ( DATA 
ENCRYPTION STANDARb)-Verschlusselungssystem. anstelle der 

30 dort vorgesehenen Substitutions- und Permutations- \\ 
funktionen. ' 

6. Verfahren. zur Erzeugung von Zuf allszahlen mxtt'eiVVdes 
Verfahrens naph einem der^ AhsprucfieVT^. 3, d:,a\S=^¥; : - 

:^3t35 a u r.c .h v ; .g e k. ;e .n : .n^z i e ? i/C^h^n;^^t> - daB eihe^r-^ 
V^^/: f orderlic.he Mul tiplizierung^bderVrPiOtehzierung modUlc^h'Cx) 
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mittels des erf indungsgemaflen Verfahrens durchgefuhrt 
wird. 

7. Verfahren zum Suchen von irreduziblen Polynomen 
mittels des Verfahrens nach einem,der Anspriiche.1 ... 3 
und nach' Anspruch 6, dadurch gekenn- 
2 e i c h n e t , daB aus einer Vielzahl erzeugter 
Zufallszahlen, namlich n-Tupeln, durch Priif en mittels 
des - Ferriiat 1 schen Lehrsatzes unter Anwendung des erf in- 
dungsgemaBen Verfahrens zum Potenzieren eine ggf . 
; vdrhanderien rrreduzibiiitat f estgestell t wird : . 

8..- Schaltunqsanordnung. zur Durchf uhrung des Ver- 
fahrens nach einem der Anspruche 1 3, d a - 

"d u r c h " " g e k e n" n z e i c h n. e t* , daB eine 
Steuerlogik (C) zum Erzeugen von Ladetaktsignalen oder 
Steuertaktsighalen (TV . .. T4) vorgesehen ist, an wel- 
che Steuerlogik (C) : die Speicher """( S1 S2, S3, S4) un- 
mittelbar o J der unmittelbar mit Sfgnalausgangen derart 
angeschlossen sind, 'daB die Steueribgik' CC) durch Aus- 
gangssighaledeV Speicher (SI... S4) in unterschied- 
licher, vorbestimmter Weise die Steuertaktsignale (T1 
... T4)* ausgibt/ yobei die Steuertaktsignale . (T1 ...T4) 
in vorbestimmter Weise" an Signaieinqange der Speicher 
(S1 ...S4) und der Verarbeitunqseinheit (SM) , die 
zwischen dem dritten Speicher (S3) und dem yierten 
Speichet (SV) angeordnet is t, geliefert werden und dafl. 
die Sigrialeihgange des' vierten Speichers (S4) 
ausSchlieBlich an SignaleingangeVder Verarbeitungs- 
einheit (SM) und die SigrialausgSnge des dritten Spei- 
chers (S3) sowohl 'an Signaleihgange der Verarbeitungs- 
einheit (SM) als auch an Signaleingange der Steuerlogik 
(C) gefuhrt sind. 
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9. Schal tungsanordnung nach- Anspruch 8, dadurch 
gekennzeichnet , daB die Steuerlogik (C) 
als programmierbares Verkniipf ungsf el d PLA (Programmable 
Logic Array) realisiert ist. 

10. Schal tungsanordnuno nach Anspruch 8, dadurch 
gekennzeichnet , daB die Steuerlogik (C) 
als Mikrocomputer realisiert ist. 

11. Schaltungsanordnuna nach Anspruch 8, dadurch 
gekennzeichnet, daB die Steuerlogik (C) 
als Bool'sche Schaltungsanordnung rait quasi-diskreten 
Verkntipfungsbausteinen, z.B. in TTL-Technik realisiert ; 
ist . 

12. Schaltungsanordnung nach Anspruch 8, dadurch 
gekennzeichnet , daB die Verarbeitungsein- 
heit (SM) als ein mehrfach r uckgekoppel tes Schiebere- 
gister (DO - Dn) ausgebildet ist, wobei der Signalaus- 
gang der in Schieberichtung letzteri Stufe (Dn) des 
Schieberegisters auf die dem diesem Verfahren zugrunde- 
liegenden Polynom entsprechende Stufen uber dem Ver- 
arbeitunosvorgang entsprechende Verkniipf ungsglieder 
ruckgekoppelt ist, daB bei jeder einzelnen Stufe (DO 
...Dn) Jeweils ein zusatzlicher Ruckkopplungsweg, der 
den jeweiliqen Signalausgang der betreffenden Stufe uber 
ein weiteres Verkniipf ungsglied mit dem Signaleingang 
desselben verbindet , vorgesehen ist und daB die Ver- 
bindunq des betreffenden Signalausgang mit dem Signal- 
eingana der folgenden Stufe bzw. mit dem eigenen 
Signaleingang uber Umschaltmittel schal tbar ist. 

13. SchaltunQsanordnuhg nach Anspruch 12,- d a d-Vr^ h 
g e k e n n z e i c h.n ; e t . , ■ daB die Elemente (l^v^^x:^ 
:arbeltimg^ -Sc^ebf^' 
re4ister$,;:die,Verk^ \ 
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mittel Fe'stkorperelemente sind, die in einer gemeinsamen 
inteqrierten Sch'altung realisiert sind. 

14. Schal tungsanordnung nach Anspruch 12, d a d u r c h 
gekennzeichnet , daB die Stufen des Schie- 
beregisters als bistabile Schaltkreise realisiert sind. 
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Verfahren zum Potenzieren in Calois-Feldern GF(2 n ) fiir 
Zwecke der Datenverarbeitung, der Datensicherung, der 
Dateniibertragung usw., insbesondere fiir den Schliissel- 
austausch fur eine verschil iissel te Dateniibertragung , und 
Schaitunqsanordnunq zur Durchf Uhrung des Verfahrens 



Die vorliegende Erfindung" betrifft ein Verfahren zura 
Potenzieren in Galois-Feldern GF(2 n ) fur Zwecke der 
Datenverarbeitung, der Datensicherung, der Dateniibertrar- 
gung usw., insbesondere fiir 'den Schliisselaustausch fiir ' 
15 eine verschlusselte Dateniibertragung , und eine Schal- 
tungsanordnung zur Durchf iihrung des Verfahrens. 

- Bei- der Chif frierung' von Nachrichten koramt dem dafiir 
notwendigen Austausch von SchlUsselparametern eine groQe 
Bedeutung zu. Es gibt elegante Verfahren, die.es erlau- 
ben, solche Parameter auf offentlich zuganglichen Nach- 
richtenwegen zu ubertragen. Diese Verfahren beruhen im ' 
wesentlichen auf mathematischen Operationen in Prim- 
korpern. 



In den letzten Jahren erlangte der Nachrichtenaustausch 
■it "Hilfp elektronischer Systeme groGe Bedeutung. Viele 
Daten im personlichen, medizinischen, finanziellen und 
staatlichen Bereich miissen dabei vor unberechtigtetn Zu- 
griff geschutzt werden. Ein Schutz geqen solche Zugriffe 
besteht darin, daB die Nachrichten. chif friert Werden. 
Die vielen moglichen Chiffren lassen sich im wesentli-.: 
chen in zwei ; Klassen ; einteilen> tiamlich solche von'/sym-: 
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sachlich verwendet ,verden, benutzen sowohl fiir den Ver- 
wie fur den Entschl usselungsvorganq. denselben Schlussel 
parameter k, der zuvor auf einem sicheren Weg ausge- 
tauscht werden muB. Gerade dieser Schlusselaustausch is 
jedoch die Schwachstelle der sy mmetrischen* Verf ahren . 
Erstens kann der Austausch doch nicht absolut sicher 
sein, zweitens gfibt es bei groG ( en Kommunikatinsnetzen 
rait N Teilnehraern N(N-1)/2 mogliche Verbindunqen , fur 
die jeweils ein .eigener Schlusselaustausch notwendig 
ist ." Dazu ' benotigt man Verteilerzentren , die nur schwer 
zuverlassig geschutzt werden. konnen, vergl. beispiels- 
weise Ehrsam, W .F ., Matyas.,S. . M . Meyer, C.H., Tuchaann, 
W.L.: "A Cryptographic Key Management" ,, IBM Systems 
Journal, 1978, Vol. 17,. No. 2 ; , S.. 106-125. Die un- 
symmetrischen Verfahren, auch ; "public., key "-Systeme 
genannt, verw ; enden fur. ejLnen.. Ver-. und Entschlus- 
selungsvoraang zwei verschiedene Parameter, wobei aus 
der Kenntnis des einen„, der; sogar of f entliciv.bekannt 
sein darf, der andere. nicht erschlossen werden kann. Im 
direkten pet>rauch sind die unsymmetrischen Verf ahren 
schwerfalliger als._ die. symmetrischen.. Sie ei.qnten sich 
jedoch vorzuglich fur den Schlusselaustausch. und decken 
somit gerade den schwachen ,Punkt , : der .letzteren ab . 
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Die zuvor genannten Operationen in Galois-Feldern der 
Charakteristik 2 erlauben vortei lhaf terweise eine hohere 
Rechenqeschwindigkeit im Hinblick auf PIu 1 tipl izierunqs- 
bzw. Potenzierunqsvorgange geqenuber herkomml ichen Ver- 
5 fahren. Der vorliegenden Erf indunq liegt die Aufqabe 
zuqrunde, ein Verfahren zum Potenzieren in Galois- 
Feldern GF(2 n ) fiir die eingangs genannten Zwecke an- 
zugeben, fiir das ein hinreichend kleineir Rechenzeit- 
aufwand erforderlich ist. Auf gabengemafi sol 1 desweiteren 
10 eine Schal tungsanordnung zur Durchfiihrung des Verfahrens 
geschaffen werden/ die einen einfachen Aufbau aufweist 
- mid mittels Standardbausteirien zu realisieren ist. 

Die der vorliegenden Erfinduna zugrundeliegende Aufgabe ' 
15 wird durch ein Verfahren nach dera Oberbegriff des 

Patentanspruchs 1 gelost, das durch die in dem kenn- 
zeichnenden Teil des Patentanspruchs angegebenen Plerk- 
raale charakterisiert ist. 'Zur Losung der Aufgabe be- 
treffend die Schal tungsanordnung zur Durchfiihrung des 
20 Verfahrens wird eine Schaltungsanordnunq gemaG dem Ober- 
begriff des Patentanspruchs 8 vorgeschlagen , welche 
Schaltungsanordnunq durch die in dem kehnzeichnenden 
Teil dieses Patentanspruchs angegebenen Merkmale ge- 
kennzeichnet ist; 1 : 
'25 : ' • s ' : 7 • : - : ' ' ■ 

Vorteilhafte Weiterbildungen des erf indungsqemaBen Ver- 
fahrens .bzw. der erf indungsgemaBen Schaltungsanordnunq 
sind durch in weiteren Unteranspruchen angegebenen Merk- 
male. gekennzeichnet • ' : " 

Das erf indungsgemafie Verfahren hat den Vorteii,. dafl auf- 
grund der Rechehgeschwindigkeit , die gegenuber herkomm- 
lichen Verfahren erzielbar ist , beispielsweise zum . 
Zwecke eines - Schl usselparameteraus tausches BiharWorter 
35 mit verhaltnismSB 
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kbnnen, so. daB die Abhorsicherheit fur die Daten gegen- 
iiber herkommlichen Verschl usselungsverf ahren de.utlich 
erhoht werden kann. . . 

-5 Im Xolgenden wird die -vorliegende Erfindung anhand 
mehrerer Figuren^im einzelnen -beschrieben . 

Fig. 1 zeigt ein^.Fl uBdiagramm mit mehreren Verfahrens- 
schritten A. . . E. . 

1° : ' - . ■ .; , ;c • . . ;r . ;. : 

Fig. 2. zeigt ein weiteres . Fl uBdiagramra .mit .mehreren 

. . . Unterschritten,,C1/E1 C5/E5. v 

Fig. 3 zeiqtein BJ. ockschal tbild .eines bevorzugten Aus- 
15 f uhrungsbeispiels fur die er.findungsgemaBe Schal- 

- tungsanordnung zur Durchfuhrung dies Verfahrens. 

Fig. ',4 zeigt ein Blockschaltbild,. das Einzelheiten des 
- . inneren Schal tungsauf baus einer Veracbeitungsein- 

20. heit,..SM.. angibt . .. , . - . .r 1 -,.'- 

.Fig... 5 zeigt eine schematische Darstellunq eines FluG- 
... . diagramms I ur,.das ..an . sich . bekannte DES^DATA 

ENCRYPTION STANDARD) -System, auf ; das das er- 
25 f indungsgemafle Verfahren vorteilhaft anzuwen- 

den ist. ,. ... , ; ,. -. tv • • , . / • \ 

Wie.;bereits erlautert, zef gt Fig. 1 ein. FluBdiagramm mit 
mehreren Verf ahrensschritten A f . . . E ..f ur das erfindungs- 
30 gemaBe Verfahren. In dera Schritt A wird eine Speicheran- 
ordnung ; mit einer Vielzahl yon Speichern S1 / S2, S3/ SA 
f ur^Elemente a, w,, h, z in : der Aufgabe. !>^ = z raod;h".:zu 
';. bilden, initial isieirt, ... wdbei^a ^ei^Ex^onent ;/, w : ,ein ^Basis 
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wird in einer En tscheidungsraute entschieden, ob ein 
Ausdruck = 1 ist oder nicht ist. Wenn der Ausdruck 
gleich 1 ist,. erfolgt ein Sprung nach einem Schritt C, 
wenn der Ausdruck nicht gleich 1 ist, erfolgt ein Sprung 
nach einem weiteren Schritt D. In dem genannten Schritt 
C wird eine Mul tiplizierung z: = z . w durchgef uhrt , und 
das Multiplizierungsergebnis wird in den Speicher S3 
eingeschrieben, wenn die in dem Schritt f D zu.treffende 
Entscheidung aussagt, daB k^ = 0 ist. Wenn dies nicht der 
Fall ist, erfolgt ein Sprung zu dem nachsten . Schritt E, 
in dem eine Multiplika;tion z: = z . z, ein Uberschreiben 
des Ergebnisses nach dem Speicher S3, ein Dekrementieren 
des Wertes k um 1 und ein Springen nach dem Schritt B • 
erfolgt. In dem Schritt A wurden die initialisierten 
5 Werte fur a, w, h, z Q jeweils in den Speicher S1 , S2,-S4 
bzw. S3 eingelesea. AuBerdem, wurde in die.se.m Schritt der 
Wert k = n gesetzt. 

_ Fi 9;, 2 zeigt, wie bereits erlautert, ein weiteres FluB- 
□ diagraram mit Unterschritten C1 /El . . C5./E5 . Die hier 

gezeigten Unterschritte werden jeweils. fur. den Schritt C 
bzw. B in dem FluBdiagramm gemafl Fig.. V ausgeftihrt. Im 
einzelnen laufen in . diesen. Unterschritten- folgende Vor- 
. gange ab: In Unterschritt ,C1 /E1 ) werden die Elemente 
>5 . einer Verarbedtungseinhei t /SM rait den Werten "0" ini- 
tialisiert. Die Werte "0" werden in die entsprechenden 
Speieh^rplatze der . Verarbeitungs,einheit SPI eingelesen. 
AuBerdem wird ;in .dies^m Unterschritt ein Wert 1 = n 
gesetzt. In dem nachsten Unterschritt ,C2/E2 wird ent- - 
schieden, ob ein Wert = 1 ist Oder nicht- ist. Wenn ' 
,= 1 ist erfolgt ein Sprung zu dem nachsten Unterschritt 
C3/E3 . Wenn dies nicht der. Fall ist ^ erf olgt ein Sprung 
i n *^'*i m ^^ e ^^%^ C4/|4. In dem Unterschritt-C^ 

virM^ .zu^dem v Irffial t"- \- 

r4er;^erarbei|un^ . 

:;,Ub^^ 

Unterschritt 'C4/E4^w.ird 'jentschieden , " -ob ; 1=0 ist" oder ! 
nicht ist . 
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Wenn 1=0 ist, kann'das Ergebnis aus der Verarbeitungs- 
einheit SP1 abgerufen und in den dritten Speicher S3 
uberschrieben werden. Wenn 1 nicht = 0 ist, erfolgt ein 
Sprung nach 'dem "Unterschritt C5/E5. In dem Unterschritt 
C5/E5 wird der In ha it-. £smJ bearbeitet, wobei die . 
Koeff izienten dieses Irihaltes jeweils an die Stelle des 
nachsthoheren Index geschoben werden iind wobei der 
Koeff izieht mit dem' hochsten Index zu diirch das Polynom 
h(x) definierteh Koeff izienten ruckgefutirt und mit 
die'sen jeweils verkhupft wird. AuS'erdeni* wird in diesem 
Unterschritt der' Weirt 1 um 1 "dekrementiert • 
Anschliessend erf olg-fc' eih 1 Rucksprung nach dem 
Unterschritt C2/E2 V : ' ~ ' :?: '"' 



I'm Falle des Unterschrittes C5/E5* wird' die Ruckfuhrung 
des Koeff izienten "kit dem. hochsten Index zu den 
betreff eniden Kbe'ff izienten niedrigwiertiger Indizes je- 
weils mittels einer UND-Verknupf ung mit dem entspre- 
chenden Koeff izienten des irreduziblen Polynoms h = (hn, 

. , ' hi , hO) durchgef ufirt J 6as jeweils entstandene ' 
UND-Verknupf untrsergebnis " wird mittels einer Exklusiv- 
ODER-Verknupf ung mit" dem betreff enden, in " der " Stellen- 
■ foige vorahgehe'ndeh Koeff izienten' verknupft, im Falle 
: dfes Uriterischrittes" : C3/E3 wird jeder 'Koeff izieht des In- 
haltes £sh J "jeweilis mittels' eifier weiteren Exklusiv- 
ODER-Verkriupf uri : g : mat 1 detn'betref f enden Koeff izienten. des 
2 ^ ' Inhai'tes ^S^ J/ namlich z = '("in, .../ zl / z0") verknupft. 
' " Das entstandene ExklQisiV-DDER^Ve^knupf ungsergebnis wird 
jeweils auf demselberi Kbef fizienten' des Ihhaltes £sn J 
fiickgefuhrt. :: ' " 
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Fig . ■ 3[ zeigt, wie. -berfeits etlautef t , ein Blockschalt- 
bild eiries -beyorzugteh Ausf uhrungsbeispiels fiir eine..i; 



Schal.tungsanbr.dnung zuf Durcfif uhrunq^des ?erf indunqsge^: 
■ :; -inaBen® erf ahH^ns^bie ; iSchal tOng^nordriuhq 

Steu^l^ ,oder3;^r- 
^ Steuertaktsignaleri T1 " • . . f 4. Ah diese ;Steuerlogik C v; 



~ ' , <~ <p p ; ?- " : - ■ 
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sind die Speicher S1 , S2, S3, SA unmittelbar oder 
mittelbar mit Signalausgangen derart angeschlossen, daO 
die Steuerlogik C durch Ausgangssignale der Speicher S1 
... SA in unterschiedlicher, vorbestimmter Weise die 
5 Steuertaktsiqnale T1 ... T4 ausgibt, wobei die Steuer- 
taktsignale T1 ... T4 in vorbestimmter Weise an Signal- 
eingange der Speicher S1 ... S4 und der Verarbeitungs- 
einheit SM, die zwischen dem dritten Speicher S3 und dem 
vierten Speicher S4 angeordnet ist , g'eliefert werden. In 

10 dieser Schal tungsanordnung sind die Signalausgange des 
vierten Speichers S4 ausschliefilich an Signaleingange 
der Verarbeitungseinheit SM angeschlossen . Die Signal- 
ausgange des dritten Speichers S3 sind sowohl an Signal^ 
eingange der. Verarbeitungseinheit SM als auch an Signal- 

15 eingange der Steuerloqik Cgefuhrt. 

Die Steuerlogik C kann geraaB einer vorteilhaf ten Weiter- 
bildiing der Erfindung als programmierbares Verknupf ungs- 
f eld PLA (Programmable Logic Array) realisiert sein. 

20 Eine andere Ausf uhrungsf orra der Steuerlogik C sieht vor v 
daB diese als tlikrocomputer realisiert ist. SchlieBlich 
kann in einer anderen Ausf uhrungsf orm die Steuerloqik C 
als Bool ' sche. Schal tungsanordnung mit quasi-diskreten 
Verkniipfungsbausteinen, z.B. in TTL-Technik, realisiert. 

25 sein. 

Fig . k zeigt, wie bereits erlautert, die schaltungstech- 
nischen Einzelheiten der Verarbeitungseinheit SM. Wie 
der Fig. 4 zu entnehmen ist, ist die Verarbeitunqsein- 
30 heit SM als ein mehrfach ruckgekoppeltes. Schieberegi- 

st?r mit Stufen DO ... Dn ausgebildet , wobei der : Signal- 
ausgang der in Schieberichtuna letzten Stuf e Dn dieses \ 
Schieberegisters auf .die/dem dieserr Verf ahren zugrunde- 
liegenden . Polynom entsprechenden Stuf en iiber dem 'V.e*rar- 



beitungsvbr 
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namlich UND-Glieder, ruckgekoppel t sind. Jeder einzelnen 
Stufe DO .. . Dh ist jeweils ein zusatzlicher. Riickkopp- 
lungsweg, der den jeweiligen Signalausgang der betref- 

7 fenden Stufe uber ein weiteres Verknupf ungsglied, nam- 
5 lich ein Exklusiv-ODER-Verkniipf ungsglied , mit dem 

Signaleingang desselben verbindet , zugeordnet . Die 

Verbihdung des betref f enden ' Signalausgahgs ' mit ' dem 
Signaleingang der folgenden Stufebzw.* mit dem jeweils 
eiaenen Signaleingang* ist liber ein jeder Stufe indi- 

10 viduell zugebrdnetes Umschal tmittel schaltbar. 

Das in Fig*. 4 gezeigte Schieberegister kann'derart 
reaiisiert sein/ daB"' die einzelnen Stufen £)0 Dn 
sowie die Verknupf ungsqiieder und die Umschal tmittel 

15 in einer gemeinsamen integrierten * Schal tungsanordnung 
reaiisiert sind, wobei die Stufen des Schieberegisters 
ladungsgekoppelte Stufen sind. Eine andere Ausfuhrungs- 
form der Verarbeitun'qseinheit gemaB Fig/ 4 sieht vor, 
' daQ die einzelnen Elemente' quasii-diskrete"' Elemente sind, 

20 wobei die einzelnen Stufen des Schieberegisters als bi- 
;: * stabile" Schaltkreise*' ausgefuhrt sind! 

Ein vorteilhaf ter ' Anwendungsf al 1 des erf indungsgemaflen 
Verfahrens sieht vor, daB das Verf ahrens * zum Austausch 
25 " eines hur zwei Teilnehmerh bekarinten Schlusselparameters 
durch Dateniibertragung liber offentlich zugangliche "Uber- 
tragungskanale benutzt wird. Dabei ist vorgesehen, daB 
" das erf indungsqeraaBe Verfahren auf das ' Verfahren nach 
"Diffie/ " Hell man / Berkbwiz' et" al arigewendet wird . 
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- Verse 



Vorteilhaf t : erweise i karin das 'erf indungsgemaBe "Verfahren 
auch zixr Verschlusselung von Machrichteh, die uber 
of fentlich zugahgliche Ubertraqungskanale ausgetauscht 
Uetilen, aingewendet werdenV wobei vorgesehen ist, daB das 
>rf indungsgeroaBe^^ • : sy ; ^ met ^^^^/|^ 

ersctii'G^ swel^fe^CSv: 
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in dem an sich bekannten DES (Data Encryption Standard) - 
Verschlusselungssystem anstelie der dort vorgesehenen 
Substitutions- und Permutationsf unktionen benutzt wird, 
vergl • Fig . . 5 . . < 

AuBerde.m kann das erf indungscemafle Verf ahren vorteilhaft 
auf ein Verfahren zur Erzeugung vori Zufallszahlen ange- 
wendet werden, wobei vorgesehen ist >: dafl. eine erf order- 
liche tlultiplizierung. oder Potenzierung. modulo h(x) 
mittels des; erf indunqsgeraaOen . Verf ahrens durchgefuhrt 
wird. 

Schliefllich ist das erf indungsgemafie . Verf ahren .vorteil— 
haft zum Such.en vpn irreduziblen Polynomen geeignet, 
wobei vorgesehen ist, daB aus einer Vielzahl erzeugter 
Zufallszahlen, namlich n-Tupeln, durch Priifen mittels 
des Fermat'schen Lehrsatzes unter Anwendung des erf in- 
dungsgemaBen Verfahrens zum Potenzieren ,eine ggf vor- 
handene Irreduzibilitat festgestellt wirdl 
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Im folgenden wer.den erganzend noch einige Erlnuterungen zu 

dem tnathemaflsctien Hintergrund des erf indungsgemaGen Verfahrens 

gegeben. 

L Einweqf unktionen nach Diffie und Hellman 

Das bekannteste public-key System ist ohne Zweifel das von Ri- 

vest, Shamir und Adleman , kurz RSA-System genannt. Im folgen 

den wird der hiervon etwas verschiedene Schliisselaus tausch von 

Diffie und;Hellman . betrachtet 1 ; vergl. I£EE Transactions on 

Information:: Theory, 1976, Vol. J:T-2-2 v No. 6 f S; 644 - 652. 

Dieses System verwendet eine" of f eritlich - bekannte , groGe Prim- 

zahl p und eirie ebenfal^ls offentlich bekannte Primitivwurzel 

w mod p. Wollen zwei Teilnehmer A und B eine Nachricht austau- 

schen, so wahlt jeder von ihnen eine nur ihra selbst bekannte 

Zuf allszahl 06 bzw. y8 ", bildet die Zahl z = w bzw. z_ = w mod p 

und teilt diese Zahl" dem : ahderen mit'; danach bildet A die Zahl 

Bee * OkB 
Z BA H v = k,B die Zahl z^ = w . = k mod p. k ist beide Male 

dieselbe Zahl. Sie ist nur den Teilnehmern A und B bekannt und 

eignet sich als gemeinsaraer Schliistselparameter fur ein symmetric 

sches Chif f rieruri^ssysfceih. 

Der Einwegcharakter ergibt sich daraus, daB das Potenzieren 
sehr rasch ausgefuhrt werden kann, fiir die Umkehr f unktion f den 
Logarithmus, jedoch kein einfaches Verfahren bekannt ist* Fiir 
die Potenzierung benotigt man maximal 2*ld(*0 bzw. 2*ld(/2>) Multi- 
plikationen, wie das Beispiel 

w 13 = <((w 2 )w) 2 ) 2 w . 

zeigt. Zu dieser Auflosung gelangt nan, wenn man die duale Dar- 
stellung des Exponenten betrachtet (vgl. Abschnitt 4): 

, 13(dekadisch) « 1101 (dual) - T 



Wo oben yor der schlieBenden Klammer ein w steht, steht;ihier v 
eine 1, sonst^O; iAristelle von 12^ Multiplikationen benotigt^fan 
nur : 5- D«?r^^ (dualj'^Sor- 
dert statt 1000 nur 15 Muitiplikationenv Mit wachsenden lahlen 
vird das Verhaltnis noch grpQer. 
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Zur Urakehrung der Funktion = z mod p mufi der Logarithraus 
# = log 2 rood p gebildet werden. Das ist aber nur durch system 
matisches Suchen rnoglich, es sirid keine Algorithmen bekannt, 
die eine ahnliche Vereinf achung wie beim Potenzieren bringen 
wiirden- 

Wahlt man eine Primzahl und einen Expo'neiiten in' der GroBenord- 
nung einer etwa 200 Bit langen Dualzahi r so wird der Unterschi 
im Aufwand zur Berechnung der Potenz biw. des Logarithraus fur 
praktische Zwecke hinreichend groB- Das Logar i thmieren ist pra 
tisch nicht mehr raoglich. Fur das Potenziereri sind etwa 300 
Multiplikationen von 200 Bit langen Zahlen mit jeweiliger Rest 
klassenbildung auszufiihren- Fiir groBere Computer ist das ein 
durchaus er£raglicher Aufwand- Jedoch gibt es Anwendungsf aile 
(z.B. Mobilf unk) r die eine noch kiirzere Rechenzeit als wiinsche 
wert erscheinen lassen. 

Im folgenden wird eine Modif ikatiori erlau'tert , der das erfindui 
gemaBe Verfahren zugrundeliegt. 

2. Einwegf unktionen in Galois-Feldern 

Die Modif ikation besteht darin, daB man nicht mit den Restkla*" 
einer groBen Prinza^l p arbeitet, sondern mit Polynomen eines 
Galois-Feldes der Charakter istik 2. An die Stelle der Primzahl 
tritt ein irreduzibles Pplynom h(x) vora Grade n iiber dera 
Prirakorper der Charakter istik, ,2 r das jheiflt mit Koef f izienten 
Q und 1. Dabei kann n in deir GroBenordnung 100 bis 200 (dekadii 
angenommen werden. w sei wiederum ein primitives Element des 
Galoisfeldes, dessen Pptenzen iaut. .Definition alle 2 n -l von : 
Null verschiedenen Elemente des'.Galois-Feldes liefern. Die Ver- 
schlusselungsvorschrif t 1st die gleiche wie bei Dif f ie und Heli 
w(x) .= w (x) . = : k (x) . mod h{x) »o6 und sind gahze rationale \ 
/ 2 alii en • k ; ; , 'i s t.yZuna chs t _ e in. El erne n t d e s;. G a 1 o i s-Fe 1 des , 1 a B t . s i cl 
aber unverandert als Dualzahl. interpretieren. 
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Der Ubergang ins Galois-Feld bringt folgende Vorteile: 



: e- 
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- Bei der Addition der Elemente modulo 2 entfallt der Ubertrag; 
alle n Stellen konnen folglich in einem einzigen Zeittakt 
addiert werden. 

- Die Multiplikation laflt sich in eine Folge von Verschiebungen 

in einem ruckgekoppelten Schieberegister und Additionen modulo 2 
zerlegen. Sie ist schaltungstechnisch leicht zu handhaben und 
lauft schnell ab. . ■ 

- Beiro Quadrieren eines Polynoms werden ledigli'ch die Exponenten 
von x verdoppelt und dann modulo h(x) reduziert. 

- Ein irreduzibles Polynom ist leicht zu finden- 

- Das Keduzieren modulo h (x) ist nur eine Folge von Additionen. 

Es ist giinstig,' n so'zu'wahlen, dafl* 2 n -l » q eine Prirazahl ist 
(Mersennesche Primzahl',' " ' Dieser Fall tfitt nur ein, 

wenn n selbst eine Primzahl ist. Die kleinsten Werte von- n sind 



dui 



„ - 2, 3, 5, 7, 13, 17, 19, 31, 61, 89, 107, 127, 521, 607, 1279, 



Fur solche Werte von n ist jedes vbh Null und Eins verschiedene 
Element ein primitives Element, da a(x) q =. 1 mod h(x) ist und 
q keine Teller atiflet l-ufid' q- hat^texrier ist fiir-diese n ein 
irreduzibles Polynom besonders leicht zu finden, wie im nachsten 
Abschnitt gezeigt wirdl' - 



Fur n =. 1Q7. ergeben kich folgende" AbschS tzungen der Rechenzeiten. 
Die Mult-iplikatxon btauch't maximal n Schiebezyklen und n Addi- 
tionen. Nimmt "man tilt etnen . Schiebezyklus wie' fur eine Addition 
dieselbe Zykluszeit ian, so ist die Zeit fur eine Multiplikation 
maximal gleich 2hf. Das Poten±ieren benotigt maximal 2n Multi- 
piikationen, also An 2 '$ Bei eirier fur den heutigeh Stand der 



Technik reiativ/ langsamen tykiuszei t t = 10 s benotigt man 
also bei h =1-107 ^uf ;2$I0" 5 s fur die Multipl^ation^und ,4. 
.. '4-' 10 : s fur idas^Potien'zieren. ' . \-v'- - 
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Will hingegen jeraand den geheimen Exponenten erniitteln, so brai 
er ira Mittel etwa 2 n>/2 Multiplikat ionen. Bei einer extrem schm 
len Zykluszeit ^ = 10~ 9 s ergibt das fur n = 107 eine Rechen- 
zeit von t - 2 n/2 2nt r^2,7 10 9 s#86 Jahre. Bei n = 127 kommt 
man auf 100000 Jahre. 



3. Darstellungen der Galoisfelder der Charakter istik 2 

Galoisfelder werden in vielen Werken der Literatur eingehend 
behandelt. Hier sollen nur jene Algor ithraen zusammen* 

gesfcellt werden, die fur das Verfahren und die zugehorige Schc 
tungstechnik unrai ttelbar von Bedeutung sind. 

Ein GF(2 n ),.d.i. ein Galois-Feld von 2 n Elementen, wird repra- 

sentiert durch die Gesamtheit der Polynome f (x) = a ,x n_1 + 

n-1 

ajX + a 0 vom Grade n-1 oder kleiner, deren Koef f izienten 
a i = 0 oder 1 sirid. Alle raitionalen Operationen werden wie ge- 
wohnt ausgefuhrt. Die Koef f izienten sihd jeweils modulo 2 zu re 
duzieren. Bei der Multiplikat ion treteh" zuriachst Polynome vom 
Grade n oder hoher auf . Diese werden nit Hilfe einer irreduzibli 
Gleichung h-ten Grades h(x) « x n * h n-1 x n " 1 + ... + t^x + h Q = 0 
auf einen Graid ^ n reduziert . Verschiedene irreduzible Glei- 
chungen desselben Grades iief em isoraorphe Korper. Es gibt in 
jedem GF primitive Elemente, dereh Potenzen alle Elemente des 
Feldes aufler Null durchlauf en. 

Eine andere Darstellung des gleichen Korpers erhalt man aus 
der Begleit-Matrix ^ . 

/ ^n-1 h n-2 >• ; h l. h 0 

o : : i r ^ - o o 
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indem man ^all^ Potenzen und alle Suramen der so entstehenden 
Matrizen bildet. Ublich ist es auch, die gestiirzte Matrix zu 



verwenden. 
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Jeder n-reihigen Matrix A laBt sich eine Schaltung zuordnen, 
wenn man n Schaltelemente so jni teinander verbindet, daG a^ k = 1 
bedeutet: vom Schalteleraent i wird ein Impuls zum Schalteleraent k 
gesandt. Bei a^ k = 0 gibt es keinen Impuls. Der Matrix 



A = 




; wird zweckmaflig^.^ gemaG Fig. 4 

zugeordnetv Wenn M der ,?fe r il yon 4 nach 3 bedeutet,. daG der Inhalt 

f des Registers 4 (etwa. 0 pd^x 1.), zura ; Register 3 verschoben wird, 
so spricht man vpn einem "Sc^^ vom Register 1 

Signale zu den anderen JRggistern zurupkgef iihrt> . so spricht man 
von einera *Ruckkoppelungs-Schi^beregi^tjer" - t : Die Riickkopplung 
hat dieselbe3.Be.deutung wi^e ^as. Reduzieren .modulo, h(x) . Fuhren 
zwei „Pf eile. av^JE Cj dasselbe Schaltelement,, so addieren sich die 
Signale modulo 2 (exklus^ves;, Oder,, Antivalenzschaltung) . 



Im Beispiel' der abgebildeten Schaltung ist h(x) = x +x+l = 0. 
Ein Pplynpm 1st , durch, ; seine Koe£ Cizienten- geg t et>en, also 
1 - (0001) # x = (0010), x 2 = r (0100K;x3 ^c (10p0) vv x 4 * 
x + 1 * (0011) # x 5 = (0110) usf • Oas entspricht der fortgesetzten 
Multiplikatibn init der Matrix A . 
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= (0001)-A X = (0100) usf. 



Es ist also A, A , A , A = A+l usf- den Polynomen x, x , x , 
4 

x = x+1 usf, zugeordnet. 



4, Algorithmen im GF(2 n ) 

Das Rechnen mit Polynomen ira GF(2 n ) weist gegenLiber dera Rech- 
nen im rationaleri Zahlenkorper sowie im Primkorper der Charak- 
teristik p - 2 einige Vereinf achungen - auf , die sich in der Schal 
tungStechnik* mit Vorteil verwerten lassen. 

a) Addition und Subtraktion 



n-4 

a x + 
b x + 



+ x + a, 

4 c 



+ b x + b 

4 * 



Oder 



' b .' b *> 



*-4 

(a +b )x + 



+ (a +b )x +(a +b ) (a +b , 



,a +b ,a +b ) 



Die Koef fizienten eriditteln sich ads 6+0 = 1+1* 0 , 0+1 * 1+0 
Das ist schaltungstechnisch ein exklusives Oder. Der Obertrag 
entfallt, alle Koef fizienten konnen in einem Zeittakt addiert 
werden. Fur jedes Polynom f list f+f ■ 0, f * -f. Minuszeichen 
konnen durch Plusze ichen erse'tzt verden, : die Subtraktion ist 
gleich der '-Addition. . U.^ii:--. 

b) Die Multiplikation - • ' 




< 
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Beispiele zur Technik 

oc ) Wie bei der iiblichen Multiplication: 

1011 • 1101 Die Zeilen werden ohne Ubertrag addiert. 

1101 .... ... 

1101 
1111111 

ft ) Man schreibt den zweiten Faktor in umgekehrter Reihenfolge 
der Koffizienten auf einen Pap i e r s t r,e i f e n , sc h i e b t ihn d^r 
Reihe nach vqn JLinks nach reqhts , zahlt jeweils die uberein- 
anderstehenden Paare - von ?insen;; 1st die Anzahl ungerade/ 
schreibt* man unter die fiihrende 1 des Papierstreif ens eine 
1, sonst eine Null* 

1011 1011 1011 

1011 , 1011 , ... , ... 1011 
1 11 1111111 

Piese Ausf iihrung ist f iir das Rechnea. per Hand sehr bequera. 

Schaltungstechnisch zweckmaBig . ist ein Algor ithnius 9 der 
auf a£m^ 

(ax + -ax + a K ( b y x + + b x + b ) - 



B x + .... + B, x +>B--« „ 
x ( x ( ... ( x I B x .+ B ) + B '} + . . 



. + B ) + B 



^^^^^ 

it- _ . 




bedeutend Hi £Sder^M^:t ipii ka t ion IdesMek tcixs gBV ini t ; de r ^Matrix 



i 
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A und anschlieflender Reduktion modulo h. Dies ist gleichbedeutend 
mit einem Takt im riickgekoppelten Schieb'eregister . Im Hornerschem 
werden die Klammern von innen nach auQen abgearbei tet- 

c) Die Reduktion (Division rait Rest) 

Man schreibt die erste Eins des irreduziblen Polynoms jeweils 
unter die am wei testen jlinks stehende Eins des uberlangen Poly- 
noms und addiert. 

Beispiel: Irreduzibles Polynom 1004.1. 

1111111 .1111111 = 110 mod 10011. 

10011 . r- \i ■ <; . 

110011 

10011 ■ i. • , ■ : • • \ . ; ..„ ri 

10101 
10011 

no ••••=..-•• ,., 

d) , ; Der -euklidsche Algoxithmus und die Inversion 

Der Algorithms ist der gleiche vie bei den ganzen rationalen 
Zahlen. Beispiel. > - ', ". , 

31/ • ■ 10011". ■■ ■ . : ■ : ' 

20 1 14 1011 10 .101, 7 

11 V 9 - 101 10 10 
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e) Die Division , > 

Die Division ist die -Mul tiplikation mit dem Inversen. 

f) Das Quadrieren ; 

Fiir das Quadrieren eignen sich alle unter Punkt b angegebenen 
Verfahren. Es kann .auch ausgenutzt ;werden # dafi bekanntlich 



( 



Za.x 1 ) 2 =£a.x 2i gilt. 



Im n-Tupel riickt jede Bins, ab der letzten Stelle gezahlt, urn ■ 
die doppelte Anzahl; von Stellen na'ch links • Notigenfalls folgt 
eine Reduktion. - 

Beispiel: 1011 2 = 1000101 = 1001 mod 10011. „ " 



g) Das Potenzieren 

Der Exponent £ wir d als DualzaJil dargestellt • und nach dem Horner- 
schen Schema entwickelt: 

£ * e fc 2* e^2 : + + 2 + e p * 2 (2. . . (2 (ie^^^^aejl+e^ 

Es darf e^ «~1T angenomroen werden. Man beginnt bei der innersten 
Klammer: t v ' - r l .- 

a •» a a * a^ 9 a^, a = a„ usf. , *• 



Im n-Tupel^werden die ; Snellen von inks nach^ rechts abgear;bei tet • 
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BeiBpiel: I rreduzibles Polynora 10011; 

gesucht x 11 = (10) 11 , die 11 ira Exponenten dekadisch. 

^ M _,1011 
Dual: (10) 



10 
100 
110 
1110 



Reduktion 



100* = 



110" = 



10000 
10011 
11 

10100 
10011 
111 



Multiplikation mit x 

11' 1*0 = 110 
111-10 = 1110 



Kontrolle: x 4 = x+1, x 8 = x 2 +l, x 11 = x 5 +x 3 = (x 2 +x) + x 3 
x 3 + x 2 + x- 



14 Patentanspriiche 
5 Figuren 
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FIG 2 



C1/E1 



Lade : (0 J '... J 0,p)-*SM 
*■ Seize r 1= n - • • 




C3/E3 



4 Addiere 
[[SMHS3MSM3 






NEIN 


C5/E5, 




Verschiebung in 


SM L 





Ergebnis aus SM 
nach S3^ Ende 
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FIG 3 
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FIG 1 
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W x — 

Zo?*).... J o;iH3 

Setze: k=n 
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